修复PHP多文件上传漏洞的关键是逐文件实施白名单扩展名校验、finfo真实MIME检测、魔数验证、独立随机重命名、非Web可访问存储及图像二次处理等全链路防护，杜绝校验复用与路径预测。
修复PHP多文件上传安全漏洞，关键不是“限制数量”，而是堵住每一个可被利用的校验缺口。多文件上传本身不增加风险，但若逻辑复用单文件的脆弱校验方式，反而会放大攻击面——比如循环处理时跳过某次内容检测，或重命名规则在批量场景下生成可预测名。
白名单校验必须落到每个文件上
不能只对第一个文件做MIME和扩展名校验，然后默认其余文件“同类型”。每一份$_FILES['files']['name'][$i]都要独立走完整流程：
- 提取扩展名后转小写，比对预设白名单（如
['jpg', 'png', 'pdf']），拒绝所有不在列表中的后缀 - 用
finfo_open(FILEINFO_MIME_TYPE)读取文件头，确认真实MIME与白名单中该扩展名对应类型一致（例如.jpg必须返回image/jpeg） - 对PDF、Office等复合格式，额外检查魔数（如PDF必须以
%PDF-开头），防止用图片头+PDF内容绕过
重命名与存储路径必须隔离且不可预测
多文件上传容易在重命名环节偷懒，比如用time().$i.'.'.$ext，导致名称可被枚举。正确做法是：
- 每个文件生成独立随机名：
md5(uniqid(rand(), true)).'.'.$safeExt - 保存路径硬编码为绝对路径，如
ROOT_PATH . 'private/uploads/'，绝不用用户输入拼接 - 上传目录禁止Web直接访问：Apache下用
.htaccess写Deny from all；Nginx下配置location /uploads/ { deny all; }
内容级防护不能省略
即使扩展名和MIME都合法，图片仍可能藏WebShell（图片马）。对图像类文件必须做二次处理：
立即学习“PHP免费学习笔记（深入）”；
- 用
getimagesize()确认是真实图像，再调用imagecreatefromjpeg/png()加载并imagejpeg/png()重绘保存 - PDF、ZIP等二进制文件，用
fopen($tmp, 'rb')读前1024字节，扫描常见危险特征（如<?php、<script>、<code>eval(</script>） - 所有临时文件（
$_FILES['files']['tmp_name'][$i]）在处理完成后立即unlink()，失败也要清理
运行环境与日志必须收紧
多文件上传常伴随调试输出或错误日志记录，这些痕迹可能暴露路径或临时文件名：
- 生产环境强制关闭调试：
define('APP_DEBUG', false);写在入口文件顶部 - 确保
Runtime/Logs/或logs/目录无法通过HTTP访问，否则攻击者可下载日志反推上传路径 - 禁用危险函数：
disable_functions = exec,system,passthru,shell_exec,proc_open写入php.ini或通过php_admin_value配置
